先月、某大手出版会社へのサイバー攻撃が話題になりました。某大手出版会社の事件では従業員や顧客などの個人情報が流出し、大きな損害が出る可能性があるようです。どんなに対策をしていても、このようなサイバー攻撃は起こり得ます。そのときに、被害を最小限に抑える方法のひとつが「ネットワーク分離」です。

ネットワーク分離とは

Web分離とも呼ばれる「インターネット分離」は、インターネットに接続する情報系ネットワークと、顧客情報や機密情報を扱う基幹系ネットワークを分離する手法のこと。外部からのサイバー攻撃は、インターネットを通じて侵入してくるため、被害が基幹系ネットワークに及ばないようにします。

ネットワーク分離は最近登場した新しい概念ではありません。社内システムを完全に分離させるのは、コストがかかることや作業の手間が増えることから、採用しているのは一部の企業に限られていました。

しかしながら、近年のサイバー攻撃の増加や、個人情報の扱いが厳しくなったことから、ネットワーク分離が見直されています。

経済産業省が「サイバーセキュリティ経営ガイドライン」のなかでネットワーク分離を推奨しているほか、総務省は「地方公共団体における情報セキュリティポリシーに関するガイドライン」を発表し、ネットワーク分離を推進しています。

「サイバーセキュリティ経営ガイドライン」では、物理層、ネットワーク層からデータ層までの多層防御の一環として、ネットワーク分離を勧めています。単独で取り入れるのではなく、ソフトウェア感染リスクの低減、需要業務を行う端末やネットワークの分離、重要情報が保存されているサーバーでの制限、事後対応の準備、という組み合わせです。

地方公共団体については、行政専用ネットワーク「総合行政ネットワーク（LGWAN）」とインターネット接続系を分離すること、さらに個人番号（マイナンバー）利用事務系を分けることを指示しています。

LGWANは、インターネット接続系との通信を完全に遮断したうえに、二要素認証によるアクセス制御を施し、マイナンバー利用事務系はLGWAN、インターネット接続系との通信を完全に遮断し、二要素認証によるアクセス制御、またデータの持ち出しを不可としています。

地方自治体でのネットワーク分離の方法ですが、機密情報や個人情報を扱う企業には参考になりそうです。

ネットワーク分離の方法

物理的または論理的にネットワーク分離する方法があります。

物理的分離

インターネット系ネットワークに接続する端末と、基幹業務系ネットワークに接続する端末を物理的に分ける方法です。基幹業務系に利用する端末は、インターネットに接続できないように設定します。インターネット経由で侵入するマルウェアに感染するリスクがなくなるため、安全度が高くなります。

ただ、基幹業務系の端末で作業しながらインターネットで調べものをするといった使い方ができなくなるため、作業負担が増え、場合によっては基幹業務用、インターネット用の端末を用意しなくてはならなくなる、というデメリットが生じます。

論理的分離

物理的には基幹業務系の端末もインターネットにつなげたまま、プロトコルの制限などで論理的にネットワークを分離する方法です。この方法は物理的に分離するのとは異なり、端末の数を増やさずに済み、また、業務上の不便さも軽減できます。

具体的には、デスクトップやブラウザーの仮想化、リモートデスクトップ、セキュアブラウザーなどの方法があります。

デスクトップ仮想化（VDI）は、OS、アプリケーションの動作をサーバー上で行い、従業員が実際に作業するPCには、サーバー上で動いている仮想マシンの画面が表示されます。従業員が使用するPCを直接インターネットにつなぐことがないので、サイバー攻撃を受けるリスクは大きく減らすことができます。ただし、この方法はハイスペックなサーバーが必要でコストがかかるというデメリットがあります。

VDIより、コストを抑えられる方法として、リモートデスクトップ（RDS）があります。RDSも、サーバー上に構築した仮想マシンにアクセスして作業する方法ですが、VDIと異なり、1つの環境、リソースを複数ユーザーで共有するため、コストが抑えられます。

仮想ブラウザー方式は、別のPCで実行しているWebブラウザーの画面を従業員の手元のPCに転送する方法です。VDIやRDS同様に、直接インターネットにアクセスすることがないため、リスクを抑えられます。

セキュアブラウザーは、一般的なWebブラウザーと同等の機能をもちながら、セキュリティが強化されたブラウザーです。セキュアブラウザーで操作した内容、データはPC端末には残らないため、情報漏えいやデータの持ち出しが防げます。

ローコストでネットワーク分離を実現

ネットワーク分離を実現する、最新の「端末内分離」方式のソリューションなら、コスト面で不安がある場合でも導入しやすくなります。

詳しくは、ぜひ下記のオンデマンドセミナーをご覧ください。

https://www.securitier.jp/event/ondemand20230821/

まとめ

・ネットワーク分離はサイバー攻撃にあったときのリスクを減らせる豊富

・物理的分離は安全性が高い反面コスト高に。論理的分離は物理的分離よりローコスト

・端末内でネットワーク分離を実現する端末内分離方式も